W 2013 roku zgłosił podatność typu server-side request forgery (SSRF) w oprogramowaniu GeoNode, wykorzystywanym m.in. przez Uniwersytet Harvarda. Za jej wykrycie otrzymał podziękowania od twórców projektu, a Uniwersytet Harvarda odnotował jego wkład w podziękowaniach na stronie projektu WorldMap.
W 2019 roku opublikował serię artykułów o wykorzystaniu podatności BadWPAD w polskiej domenie krajowej. Ustalił, że od 2007 roku prywatna spółka utrzymywała domeny wpad.*.pl, z których serwowano pliki konfiguracyjne kierujące żądania do popularnych programów afiliacyjnych przez serwer proxy podmieniający identyfikator polecającego. Zawartość tych plików z kolejnych lat odtworzył na podstawie archiwum internetu. Ta sama infrastruktura obejmowała domeny wpad także w innych domenach najwyższego poziomu, m.in. czeskiej, włoskiej i tajwańskiej. Po ujawnieniu sprawy właściciel przekazał domeny pod kontrolę NASK, a CERT Polska skierował je na sinkhole, który w tygodniu od 15 do 22 maja 2019 roku odnotował 6,5 mln żądań HTTP z około 40 tysięcy unikatowych adresów IP. Wpis o przejęciu domen wskazuje go imiennie jako autora tych ustaleń, a CERT Polska poinformował, że domeny przejęto z pomocą prowadzonej przez niego firmy.